Sem Agent ID, empresas podem perder o controle sobre o que fazem seus agentes de IA

Agentes de inteligência artificial deixaram de ser experimentos isolados nas empresas. Hoje tomam decisões, acessam sistemas críticos e executam tarefas sem supervisão constante. Diante desse avanço, a WSO2, fornecedora global de tecnologia de identidade, integração e APIs, chama atenção para um ponto que considera decisivo nessa fase da automação corporativa: antes de multiplicar o número de agentes em produção, as organizações precisam tratá-los como identidades próprias, com o mesmo rigor de segurança e auditoria já aplicado a usuários humanos.

Segundo a companhia, o momento pede mais do que adoção acelerada de tecnologia. Exige entendimento sobre um risco que ainda não está no radar da maioria das lideranças de TI e segurança.

Fernando Arditti, Vice President & General Manager Latin America na WSO2, explica que empresas automatizam decisões e acessos em velocidade sem precedentes, mas boa parte ainda trata agentes de IA como extensão de contas humanas ou de sistemas já existentes. Para o executivo, esse é o ponto cego capaz de transformar produtividade em exposição a risco.

Assim, diferente de usuários humanos ou de aplicações tradicionais, agentes autônomos apresentam características que desafiam os sistemas convencionais de gestão de identidade e acesso. Operam com grau elevado de independência, sem supervisão humana constante. Tomam decisões em tempo real, com impacto direto sobre dados, sistemas e processos de negócio. Conectam-se a múltiplas APIs, bases de dados e ferramentas para cumprir tarefas, muitas vezes atravessando fronteiras entre departamentos.

Agentes sem identidade viram risco de segurança

Sem identidade própria, rastreável e sujeita a governança, um agente de IA se comporta como usuário anônimo com acesso privilegiado. Esse é o tipo de risco que frameworks de segurança corporativa foram criados para eliminar.

Levantamentos recentes do setor confirmam o descompasso. Segundo o relatório State of AI Agent Security 2026, da Gravitee, a adoção supera a governança: 81% das equipes já passaram da fase de planejamento, mas apenas 14,4% têm aprovação de segurança completa. Ainda de acordo com o relatório, 88% das organizações confirmaram ou suspeitaram de incidentes de segurança neste ano, e apenas 22% das equipes tratam os agentes como identidades independentes. A maioria segue dependendo de chaves de API compartilhadas.

Quatro pilares orientam a governança de agentes

Diante desse quadro, a WSO2 recomenda tratar agentes como identidades de primeira classe. Antes de escalar o número de agentes em produção, a companhia orienta as organizações a endereçarem quatro frentes.

A primeira é administrar o ciclo de vida da identidade de cada agente com o mesmo rigor aplicado a contas humanas, incluindo metadados como proprietário, propósito e nível de risco. A segunda é autorizar, aplicando o princípio do menor privilégio, com políticas sensíveis ao contexto e suporte à delegação. A terceira é autenticar, com credenciais robustas para operação máquina a máquina e criptografia forte, eliminando a dependência de segredos estáticos ou credenciais compartilhadas. A quarta é auditar, mantendo registros imutáveis e segregados das ações de agentes, com detecção de comportamento anômalo e geração de relatórios de conformidade.

A abordagem ganha relevância à medida que o Model Context Protocol se consolida como padrão para conectar modelos de linguagem a ferramentas e dados corporativos. O protocolo exige autorização padronizada, como OAuth 2.1, controle de acesso em nível de ferramenta e mecanismos de consentimento que mantenham humanos no processo de decisões críticas.

Empresas precisam agir antes do primeiro incidente

Fernando Arditti reforça que a adoção de agentes de IA acontece mais rápido do que a maturidade dos processos de governança dentro das empresas. “Sentimos que é nossa responsabilidade, como referência em identidade digital, trazer essa conversa para o centro do debate antes que ela se torne um problema. Tratar um agente de IA como se fosse apenas uma extensão de um usuário humano é ignorar que ele toma decisões, acessa sistemas e age de forma autônoma. E isso exige uma identidade própria, com regras próprias de autenticação, autorização e auditoria. Nosso compromisso é ajudar as organizações a construírem essa base de segurança antes de escalar o uso de agentes, e não depois que o primeiro incidente acontecer”, afirma o executivo.

A adoção de IA agêntica segue em ritmo acelerado nas empresas. Por outro lado, a capacidade de governá-la com segurança precisa acompanhar essa velocidade, o que reforça o papel da governança como parte estrutural de qualquer estratégia de automação nas organizações.